Alcuni membri del nucleo centrale del progetto Nginx hanno abbandonato il progetto a causa di problemi di sicurezza.

Secondo Arstechnica , Maxim Dounin, uno degli sviluppatori principali, ha lasciato Nginx perché riteneva che non fosse più un progetto open source e gratuito a beneficio della comunità. Dounin ha fondato Freenginx, affermando che sarebbe stato gestito dagli sviluppatori e non da organizzazioni aziendali.

Dounin è uno dei primi e tuttora uno dei programmatori più attivi del progetto open-source Nginx, ed è stato uno dei primi dipendenti di Nginx Inc., un'azienda fondata nel 2011 per fornire supporto commerciale per software per server web. Secondo W3techs , Nginx è ora utilizzato in circa un terzo dei server web mondiali , seguito da Apache.

Nel 2019 Nginx Inc. è stata acquisita da F5 (con sede a Seattle, USA). Tuttavia, alla fine del 2019, due dirigenti di Nginx, Maxim Konovalov e Igor Sysoev, sono stati arrestati e interrogati nelle loro abitazioni da agenti russi. La società internet Rambler ha rivendicato la proprietà del codice sorgente di Nginx, affermando che era stato sviluppato durante il periodo in cui Sysoev lavorava per l'azienda (anche Dounin vi lavorava). Sebbene probabilmente non siano state formulate accuse penali, l'intrusione di un'azienda russa in una popolare componente open source dell'infrastruttura web ha sollevato alcune preoccupazioni.

Sysoev lasciò F5 e il progetto Nginx all'inizio del 2022. Più tardi, nello stesso anno, a causa dell'operazione militare russa in Ucraina, F5 interruppe tutte le attività in quel paese. Alcuni sviluppatori di Nginx crearono Angie per fornire supporto agli utenti di Nginx in Russia. Anche Dounin smise di lavorare per F5 in quel periodo, ma mantenne il suo ruolo nel progetto Nginx come volontario.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx è attualmente il software server web open-source con la maggiore quota di mercato.

Dounin ha affermato che la nuova dirigenza non tecnica di F5 ha recentemente dato per scontato di sapere esattamente come gestire i progetti open source. In particolare, questo gruppo ha deciso di interferire con le politiche di sicurezza che Nginx utilizzava da anni, aggirando persino gli sviluppatori. Ha concluso che ciò significava che non potevano più controllare le modifiche apportate a Nginx, il che lo ha spinto a lasciare l'azienda.

Alcuni commenti apparsi su The Hacker News , tra cui uno di un presunto dipendente di F5, suggeriscono che Dounin si sia opposto all'attribuzione delle vulnerabilità CVE pubblicate a QUIC. Sebbene non sia abilitato nelle impostazioni predefinite di Nginx, secondo la documentazione di Nginx, QUIC è incluso nella versione principale dell'applicazione, contiene le funzionalità e le correzioni di bug più recenti ed è sempre aggiornato.

In un'intervista a The Hacker News , Dounin ha affermato che il team di F5 ha ignorato sia le politiche del progetto che il consenso generale degli sviluppatori, senza alcuna discussione. Sebbene l'azione specifica non fosse necessariamente sbagliata, l'approccio complessivo era problematico.

Secondo Astechnica , F5 ha espresso rammarico per l'addio di Dounin, affermando che progetti open source di successo come Nginx richiedono una comunità ampia e diversificata di collaboratori, nonché l'applicazione di rigorosi standard di settore per l'identificazione e la valutazione delle vulnerabilità. L'azienda ritiene che questo sia l'approccio corretto per sviluppare software altamente sicuro per i clienti e per la comunità.

Link alla fonte